Politique de confidentialité

Le responsable du traitement est l'organisme qui exploite l'application Aquarys. Pour toute question relative à vos données, contactez votre administrateur système. L'éditeur de l'application peut être joint à l'adresse karim.sehil@aquarys.io.

L'application collecte uniquement les données nécessaires à son fonctionnement :

• Identification : nom, prénom, identifiant de connexion
• Données professionnelles : rôle, équipe, affectations aux tournées
• Données d'activité : saisies de prélèvements, signalements, planning, réunions, demandes
• Photographies : photos de terrain liées aux prélèvements et signalements
• Données techniques : logs d'erreurs, tokens de session

• Gestion des tournées de prélèvement et des analyses en laboratoire
• Suivi de la maintenance et des signalements d'incidents
• Gestion du planning et de l'organisation des équipes
• Sécurité et traçabilité des accès au système d'information

Base légale : exécution du contrat de travail (art. 6.1.b RGPD) et intérêt légitime pour la gestion opérationnelle et la sécurité (art. 6.1.f RGPD).

• Données de compte : durée du contrat + 5 ans
• Données d'activité opérationnelle : 3 ans glissants
• Photos de terrain : 2 ans
• Journaux techniques : 30 jours
• Sessions d'authentification : 7 jours (renouvellement automatique)

Les données de l'application sont hébergées en France :

• Supabase Inc. — base de données, authentification, stockage des photos, sauvegardes — région eu-west-3 (Paris, France) — politique de confidentialité
• Vercel Inc. — hébergement applicatif — exécution serveur en région cdg1 (Paris, France) — politique de confidentialité
• Functional Software, Inc. (Sentry)— supervision des erreurs techniques — traitement en région européenne (Allemagne). Seules des traces d'erreur et le contexte technique associé sont transmis, à l'exclusion des données métier — politique de confidentialité
• IGN — Géoplateforme(établissement public français) — fonds cartographiques de la carte interactive. Les tuiles étant chargées par le navigateur, l'IGN reçoit l'adresse IP de l'utilisateur et la zone géographique consultée — geoservices.ign.fr
• Google LLC / Mozilla / Apple— service de push notifications (FCM, Mozilla Push Service, APNs) — activé uniquement si l'agent accepte les notifications de son navigateur. Le service de push reçoit le contenu de la notification ; aucune autre donnée nominative n'est transmise. Ces services sont situés hors UE — politique Google
• Resend, Inc.(États-Unis) — acheminement des courriels envoyés depuis le formulaire de contact du site public. Ne concerne pas les agents de l'application, dont aucune donnée ne transite par ce service — politique de confidentialité

Le service météo affiché sur le tableau de bord (Open-Meteo, Allemagne) est interrogé par le serveur et non par le navigateur : aucune donnée personnelle ne lui est transmise.

Les transferts vers les États-Unis reposent sur les clauses contractuelles types de la Commission européenne ou sur la certification du sous-traitant au Data Privacy Framework UE–États-Unis. Un accord de traitement des données (DPA) est conclu avec chaque sous-traitant traitant des données à caractère personnel pour le compte du responsable de traitement.

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Accès : obtenir une copie de vos données
• Rectification : corriger des données inexactes
• Effacement : demander la suppression de vos données
• Portabilité : recevoir vos données dans un format structuré
• Opposition : vous opposer à certains traitements

Pour exercer vos droits, contactez votre administrateur système, ou l'éditeur à l'adresse karim.sehil@aquarys.io. Vous pouvez également saisir la CNIL.

L'application utilise uniquement des cookies strictement nécessaires à l'authentification et au maintien de la session. Aucun cookie de tracking ou publicitaire n'est déposé. Ces cookies sont exemptés de consentement préalable (art. 82 de la loi Informatique et Libertés).

• Chiffrement des communications (TLS 1.3)
• Contrôle d'accès par rôle (Row Level Security activé sur la base de données)
• En-têtes de sécurité HTTP (CSP, HSTS, X-Frame-Options)
• Politique de sécurité du contenu restreignant les domaines externes appelés par le navigateur
• Supervision des erreurs via Sentry, en région européenne
• Accès réservé aux agents habilités
• Sauvegarde quotidienne automatique de la base de données